En este contexto, el Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS), el marco normativo que establece los requisitos mínimos de seguridad para garantizar la protección de la información y los servicios electrónicos en el sector público español.

El ENS tiene como objetivo crear un entorno seguro en el uso de medios electrónicos. Su aplicación afecta no solo a las administraciones públicas, sino también a empresas tecnológicas, proveedores cloud, consultoras IT y terceros que prestan servicios al sector público.

La normativa se basa en principios esenciales, como la seguridad integral, la gestión continua de riesgos, la prevención, la vigilancia y la capacidad de respuesta ante incidentes.

El cumplimiento del ENS también guarda una estrecha relación con el cumplimiento de otras normativas, como el RGPD.

IMPORTANTE

El ENS garantiza seguridad, continuidad y confianza digital, convirtiéndose en un requisito esencial para organizaciones que gestionan información y servicios públicos.

La entrada ENS para empresas: claves prácticas para entender el Esquema Nacional de Seguridad (I) se publicó primero en Adaptación RGPD.

Por ello, tanto la ISO/IEC 27001 como el Esquema Nacional de Seguridad recomiendan avanzar hacia modelos de autenticación más sólidos, especialmente la autenticación multifactor. Combinar algo que el usuario sabe, algo que posee y, en determinados casos, algo que es, eleva de forma notable el nivel de protección frente a ataques automatizados y accesos no autorizados.

En entornos reales, esto se traduce en el uso de certificados digitales, aplicaciones de generación de códigos temporales o dispositivos físicos de seguridad. El ENS es especialmente claro al exigir factores reforzados en accesos remotos o a información sensible, mientras que la ISO 27001 subraya la necesidad de que estas decisiones se basen en un análisis de riesgos previo.

La clave no está en elegir soluciones coherentes con el contexto y el impacto potencial. Una autenticación bien diseñada no solo protege sistemas: protege el negocio, a las personas y la confianza depositada en la organización.

IMPORTANTE

Las contraseñas no bastan; la autenticación multifactor, basada en riesgos, refuerza la seguridad y protege los sistemas.

La entrada Mecanismos de autenticación: cómo reducir ataques y accesos indebidos a los sistemas se publicó primero en Adaptación RGPD.

El fraude online, con 45.445 casos, se consolida como la principal amenaza, mientras que el phishing suma 25.133 incidentes. Estos datos no son meras estadísticas: reflejan una sofisticación cada vez mayor en las técnicas de ingeniería social y una explotación sistemática de la confianza digital. El cierre de 4.600 dominios fraudulentos demuestra que la respuesta institucional existe, pero la prevención debe reforzarse desde la base.

Especial atención merece el malware, con 55.411 incidentes registrados, incluidos 392 ataques de ransomware. Que el 85% de los sistemas infectados estén vinculados a dispositivos IoT confirma algo que venimos advirtiendo desde hace años: la conectividad sin seguridad es una vulnerabilidad estructural. Por último, hacer referencia a las 142.767 consultas atendidas por la Línea de Ayuda de INCIBE que reflejan una mayor concienciación social.

IMPORTANTE

La ciberseguridad es un pilar estratégico para el gobierno corporativo y garantía de la continuidad del negocio.

La entrada Nuevo escenario estratégico de la ciberseguridad en España se publicó primero en Adaptación RGPD.

Cuando hablamos de ciberseguridad, pocas medidas resultan tan determinantes —y a la vez tan infravaloradas— como la autenticación. Verificar correctamente quién accede a un sistema no es una cuestión accesoria, sino la primera barrera frente a la mayoría de los incidentes de seguridad que afectan hoy a organizaciones de cualquier tamaño.

La experiencia demuestra que un elevado porcentaje de incidentes de seguridad se produce por el uso de contraseñas débiles, reutilizadas o comprometidas, lo que evidencia la necesidad de implantar mecanismos de autenticación robustos y adaptados al riesgo.

Invertir en una autenticación robusta no solo reduce la probabilidad de accesos indebidos, sino que aporta estabilidad, confianza y continuidad operativa. Es, en definitiva, una decisión de madurez en la gestión de la ciberseguridad.

IMPORTANTE

No se trata únicamente de verificar quién accede, sino de hacerlo de forma fiable, trazable y resistente a ataques.

La entrada Autenticación segura: el pilar esencial de la ciberseguridad en entornos digitales se publicó primero en Adaptación RGPD.

Este tipo de ataques son cada vez más sofisticados y difíciles de detectar, representando un grave riesgo para las empresas. La filtración de datos confidenciales, el daño reputacional y las posibles sanciones son algunas de sus consecuencias.

¿Cómo protegerse del spoofing? Entre otras medidas:

• Verificar remitentes antes de responder a correos o llamadas desconocidas.
• Evitar proporcionar datos sensibles a través de correos o mensajes no verificados.
• No hacer clic en enlaces sospechosos ni descargar archivos de remitentes dudosos.
• Implementar herramientas de seguridad, como cifrado de correos.
• Asegurar conexiones web con certificados SSL y revisar la URL.
• Actualizar regularmente sistemas y aplicaciones.
• Usar contraseñas seguras y activar la autenticación en dos pasos.

IMPORTANTE

Los principales tipos de spoofing son:

suplantación Web; suplantación correo electrónico (phishing); suplantación SMS (smishing); suplantación telefónica (vishing); suplantación de IP

La entrada Cómo podemos protegernos ante un ataque de Spoofing? se publicó primero en Adaptación RGPD.

Es importante tener conocimiento de los tipos de virus que existen, como se comportan y lo que es crucial, cómo protegernos de ellos.

Spyware: es un tipo de software que se instala en nuestros activos digitales sin que nos demos cuenta. Su objetivo es espiar nuestra actividad en línea, recopilar información sobre nuestros hábitos de navegación e incluso obtener datos personales como contraseñas o información bancaria.

Un ejemplo de este virus es el keyloggers que registra y guarda todas las pulsaciones de teclas que realizamos en el teclado, de esta forma puede capturar información sensible como contraseñas, números de tarjetas de crédito.

¿Cómo podemos protegernos? Además de tener instalado y actualizado un buen antivirus, tendríamos que utilizar un gestor de contraseñas que puedan autocompletar los campos de contraseñas sin necesidad de pulsar teclas. Otra medida que resulta altamente efectiva es incluir en los dispositivos digitales la autenticación de dos factores.

IMPORTANTE

Las actualizaciones contienen parches de seguridad que salvaguardan contra amenazas recientes y ayudan a mantener nuestros dispositivos protegidos.

La entrada ¿Cómo protegernos de los principales virus informáticos? se publicó primero en Adaptación RGPD.

• Educación y Sensibilización: Es imperativo que cada miembro del equipo comprenda los riesgos asociados a la ciberseguridad y esté equipado con el conocimiento necesario para mitigarlos. Esto incluye la realización de programas de formación regulares y simulacros de phishing para evaluar la preparación del personal.

• Mantenimiento y Actualización Constante: Los ciberdelincuentes explotan las vulnerabilidades en software desactualizado para infiltrarse en los sistemas. Por ello, es crucial mantener una rutina de actualizaciones periódicas y aplicar los parches de seguridad más recientes.

• Estrategias de Respaldo: Las copias de seguridad son una red de seguridad vital que permite a las empresas recuperarse de incidentes como el ransomware. Estas deben realizarse de manera frecuente y almacenarse tanto localmente como en soluciones de almacenamiento en la nube confiables.

• Autenticación Multifactor: Este enfoque de seguridad añade una capa adicional de protección, requiriendo que los usuarios proporcionen dos o más pruebas de su identidad antes de acceder a los recursos críticos de la empresa.

Además de estas medidas, es esencial adoptar una política de seguridad integral que incluya la encriptación de datos, el uso de firewalls avanzados, la segmentación de redes y la implementación de sistemas de detección y respuesta ante incidentes. La ciberseguridad no es un objetivo estático, sino un proceso dinámico que exige vigilancia constante y adaptación frente a las amenazas emergentes. Solo mediante un compromiso continuo con las mejores prácticas y una cultura de seguridad arraigada en todos los niveles de la organización, las empresas pueden aspirar a protegerse eficazmente en el cambiante paisaje de la ciberseguridad.

IMPORTANTE

La concienciación y formación del personal laboral es una medida de seguridad organizativa que ayuda a las empresas a reforzar al eslabón más débil en la cadena de la ciberseguridad.

La entrada ¿Cómo proteger la empresa de incidentes de ciberseguridad? (I) se publicó primero en Adaptación RGPD.

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea ha establecido un marco legal que obliga a los responsables de los tratamientos de datos personales a evaluar los riesgos y aplicar medidas de seguridad técnicas y organizativas adecuadas. La seguridad enfocada a los tratamientos implica considerar la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas naturales.

Un ejemplo ilustrativo de la diferencia entre la seguridad de los sistemas y la seguridad de los tratamientos es el uso de contraseñas. A menudo, las personas utilizan la misma contraseña o contraseñas débiles en varios servicios, lo que permite a terceros acceder a datos personales a través de credenciales comprometidas. En estos casos, algunos responsables de tratamientos de datos pueden argumentar erróneamente que no ha ocurrido una brecha según el RGPD, ya que el sistema de información funcionó correctamente. Sin embargo, esto ignora el hecho de que la seguridad del tratamiento de datos personales ha sido comprometida.

La guía para la notificación de brechas de datos personales de la Agencia Española de Protección de Datos (AEPD) proporciona una herramienta valiosa para los responsables de los tratamientos de datos personales, ayudándoles a cumplir con sus obligaciones de notificación a las autoridades de control y comunicación a las personas afectadas. Esta guía enfatiza la importancia de reconocer una brecha de datos personales y actuar de manera adecuada para minimizar los riesgos y proteger a los individuos afectados.

Un ejemplo es el Esquema Nacional de Seguridad (ENS) representa un marco normativo fundamental en el contexto de la seguridad de la información en España, especialmente relevante tanto para las entidades del sector público como para las empresas privadas que interactúan con ellas. Este esquema establece una serie de requisitos y medidas destinadas a garantizar la seguridad de los sistemas de información que manejan, procesan o almacenan datos pertenecientes al sector público.

Además, el ENS no solo se limita a las entidades públicas, sino que también se extiende a las empresas privadas que proporcionan servicios o soluciones tecnológicas a las administraciones públicas. Esto significa que cualquier compañía privada que trabaje en colaboración con el sector público, debe adherirse a los estándares y prácticas de seguridad dictados por el ENS para asegurar la protección y la integridad de la información.

No obstante, el ENS también reconoce la importancia de la protección de datos personales y, por ello, en su artículo 3, hace una mención específica a la regulación de datos personales. Según este artículo, en los casos en que un sistema de información del sector público o privado que esté bajo el ámbito de aplicación del ENS se utilice para procesar datos personales, dicho sistema deberá cumplir con lo establecido en el Reglamento General de Protección de Datos (RGPD) y la legislación correspondiente en materia de protección de datos.

El RGPD es una normativa de la Unión Europea que busca fortalecer y unificar la protección de datos para todos los individuos dentro de la UE. Es conocido por su enfoque en dar control a los ciudadanos sobre sus datos personales y por las estrictas medidas que impone a las organizaciones que procesan estos datos. Por lo tanto, la referencia del ENS al RGPD subraya la necesidad de una doble capa de seguridad y cumplimiento normativo cuando se trata de sistemas de información que manejan datos personales.

En resumen, el ENS y el RGPD son dos pilares que trabajan conjuntamente para asegurar que los sistemas de información, ya sean del sector público o privado, operen dentro de un marco de seguridad robusto y respetuoso con la privacidad de los datos personales. Esto refleja un compromiso con la seguridad de la información y la protección de la privacidad en la era digital, aspectos críticos para la confianza y el buen funcionamiento de la sociedad y las instituciones.

En conclusión, la seguridad enfocada a los tratamientos de datos personales es un concepto que va más allá de la protección de los sistemas de información. Requiere una comprensión profunda de los procesos de tratamiento y los riesgos asociados, así como un compromiso con la protección de los derechos individuales. Con la implementación efectiva de medidas de seguridad y una respuesta rápida a las brechas de datos, podemos aspirar a un entorno digital más seguro y confiable para todos.

La entrada Brechas de datos personales. La seguridad enfocada a los tratamientos de datos se publicó primero en Adaptación RGPD.

Con carácter general podemos destacar las siguientes amenazas: accesos no autorizados; interfaces inseguras; uso de tecnologías compartidas; fuga de información; suplantación de identidad; falta de formación y desconocimiento del entorno; suplantación de identidad y ataques de hacking.

En la utilización de este tipo de aplicaciones, resulta imprescindible la realización de un análisis de riesgos y así poder aplicar las medidas necesarias para mitigar los riesgos. Los riesgos que pueden derivar de las amenazas indicadas anteriormente son, por ejemplo, acceso de usuarios con privilegios que actúan de forma maliciosa, desconocimiento de la localización de los datos, por ejemplo, cuando están ubicados en terceros países sin garantías adecuadas o falta de soporte en caso de que ocurra algún incidente y no se pueda acceder a los logs o registros de actividad. Una vez que conocemos los riesgos tendremos que aplicar las medidas de seguridad técnicas y organizativas más adecuadas para mitigarlos, por ejemplo, en el caso de falta de soporte, el proveedor debe garantizar que los logs y los datos se gestionen de una forma centralizada.

IMPORTANTE

En la contratación de aplicaciones en la nube es necesario que las medidas de seguridad técnicas y organizativas estén contenidas en el acuerdo de servicio

La entrada Nuevas tecnologías y ciberseguridad: amenazas y riesgos de las aplicaciones en la nube (II) se publicó primero en Adaptación RGPD.

En este caso, vamos a centrarnos en las aplicaciones en la nube que podemos encontrar en el mercado:

• nube pública: Los clientes utilizan los servicios que son procesados en el mismo servidor que otros clientes. Una de las ventajas es el ahorro de tiempo y costes, aunque por el contrario hay poca transparencia puesto que no sabemos el resto de los recursos que estamos compartiendo.
• nube privada: Los recursos se ofrecen de forma exclusiva para nuestra empresa. Nos ofrece un mayor control de los recursos y seguridad, aunque tiene un elevado coste.
• nube híbrida: incorpora servicios únicos y compartidos con otros clientes. Una de las ventajas es que se maximiza el valor y se reducen costes. El inconveniente es la falta de control de la seguridad entre ambas nubes.

IMPORTANTE

El modelo de aplicación en la nube a elegir dependerá del servicio que desarrollemos y de sus requisitos de seguridad.

La entrada Nuevas tecnologías y ciberseguridad: aplicaciones en la nube (I) se publicó primero en Adaptación RGPD.